Protocolo jurídico ante una filtración de datos: qué definir antes del incidenteProtocolo jurídico ante una filtración de datos: qué definir antes del incidente

Un protocolo jurídico para filtraciones debe estar definido antes de cualquier alerta. Debe separar hechos confirmados de hipótesis, registrar cuándo la empresa tomó conocimiento, asignar responsables y documentar la evaluación de cada régimen: la Ley 21.719, que regirá desde el 1 de diciembre de 2026, y la Ley 21.663 y ANCI, ya operativas cuando se cumplen sus presupuestos. Jurídico coordina decisiones y comunicaciones; no reemplaza la contención técnica.

¿Qué debe dejar definido el protocolo antes del incidente?

Primero: separar los relojes y autoridades

Una misma contingencia puede activar obligaciones paralelas. La empresa necesita confirmar su rol, la entidad jurídica afectada, el tipo de evento y el umbral de cada régimen. La tabla resume el punto de partida; no sustituye las reglas sectoriales ni el análisis de los hechos concretos.

11. Asignar decisiones, no solo participantes

Una lista de nombres no basta. El protocolo debería indicar quién dirige la coordinación, quién preserva y valida hechos técnicos, quién califica los regímenes, quién consulta contratos, quién prepara comunicaciones y quién aprueba decisiones de alto impacto. Cada función necesita suplencia y un canal que siga disponible si el correo o la red habitual están comprometidos.

22. Abrir una bitácora jurídica común

La bitácora debe permitir reconstruir qué sabía la empresa al adoptar cada decisión. No es una narración retrospectiva perfecta. Es un registro vivo que distingue hechos, fuentes, incertidumbres y próximos puntos de control. El acceso debe limitarse a quienes necesitan intervenir y coordinarse con la preservación técnica de evidencia.

33. Documentar por qué se reporta o no en cada régimen

Desde el 1 de diciembre de 2026, el responsable deberá reportar a la Agencia de Protección de Datos Personales las vulneraciones a las medidas de seguridad que ocasionen destrucción, filtración, pérdida o alteración accidental o ilícita de datos personales, o su comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades. El análisis debe identificar el evento, los datos, los titulares, las consecuencias posibles y las medidas que reducen el riesgo.

Para ANCI, primero debe confirmarse que la institución presta un servicio esencial o fue calificada como OIV. El reglamento considera significativo el incidente capaz de interrumpir un servicio esencial; afectar la integridad física o la salud; afectar la integridad o confidencialidad de activos informáticos o la disponibilidad de una red o sistema, aun sin afectación inmediata del servicio; utilizar o ingresar sin autorización a redes o sistemas; o afectar sistemas que contengan datos personales. Para valorar su importancia se consideran especialmente el número de personas afectadas, la duración y la extensión geográfica.

44. Preparar el aviso de proveedores y encargados

El responsable y el encargado deberán aplicar medidas apropiadas de seguridad. Si la vulneración ocurre en un tercero mandatario o encargado, desde el 1 de diciembre de 2026 el artículo 15 bis le exigirá reportar el hecho al responsable. La ley no fija un plazo en horas para ese aviso interno. Como control recomendado, el contrato debería definir canal, contacto permanente, información mínima, actualizaciones y un plazo interno que permita al responsable evaluar sus propias obligaciones.

55. Aprobar comunicaciones claras y consistentes

Una comunicación temprana puede reconocer incertidumbre sin especular. Debe indicar qué se sabe, qué se está haciendo, qué acción se pide al destinatario y cómo recibirá actualizaciones. Como control recomendado, conviene conservar cada versión junto con los antecedentes disponibles al aprobarla y mantener consistencia entre mensajes a autoridad, titulares, clientes, trabajadores, aseguradores y otras contrapartes.

Cuando una vulneración sujeta a reporte bajo el artículo 14 sexies se refiera a datos sensibles, datos de niños o niñas menores de catorce años, o información sobre obligaciones económicas, financieras, bancarias o comerciales, el responsable también deberá comunicarla a cada titular afectado, a través de sus representantes cuando corresponda. El mensaje debe usar lenguaje claro y sencillo, identificar los datos afectados, las posibles consecuencias y las medidas adoptadas. Si la notificación individual no es posible, la ley exige difundir un aviso en un medio de comunicación social masivo y de alcance nacional.

66. Cerrar el incidente sin cerrar los pendientes

Desde el 1 de diciembre de 2026, el responsable deberá registrar las comunicaciones enviadas a la Agencia por vulneraciones sujetas a reporte. El registro debe describir su naturaleza y efectos, las categorías de datos, el número aproximado de titulares afectados y las medidas adoptadas para gestionarlas y prevenir incidentes futuros. Como control recomendado, conviene documentar también incidentes que no se reportaron, junto con su evaluación y fundamento.

77. Probar el protocolo con un simulacro

Un ejercicio de mesa debería medir si el equipo abre la bitácora, contacta al proveedor, distingue los dos regímenes, reúne la información mínima, controla los plazos y aprueba un mensaje coherente. El resultado no es una certificación. Es una lista de vacíos visibles: contactos desactualizados, accesos inexistentes, contratos silenciosos, decisiones sin dueño o plantillas que no responden al caso.

Preguntas frecuentes sobre filtraciones de datos